1. Une vulnérabilité de téléversement en pré-authentification peut être utilisée pour téléverser un fichier PHP arbitraire dans un répertoire restreint avec un nom de fichier aléatoire.
2. En utilisant la même fonction vulnérable, nous téléversons un fichier de configuration PHP (.ini) qui pointe vers le fichier PHP de l'étape 1 et le charge à l'aide de la directive auto_prepend_file.
3. Comme toutes les variables d'environnement peuvent être définies via des requêtes HTTP, nous écrasons la variable d'environnement PHPRC pour charger le fichier de configuration PHP de l'étape 2 et déclencher l'exécution de la fonction PHP déclarée à l'étape 1.

Utilisation

La fonction PHP peut être spécifiée à l'aide de l'option —payload, mais php_uname() est définie par défaut.

python watchtowr-vs-junos_juniper_2023-08-25.py --url http://localhost

python watchtowr-vs-junos_juniper_2023-08-25.py --url http://localhost --payload "get_current_user()"

Atténuations

Mettez à jour vers la dernière version de JunOS et/ou appliquez les correctifs fournis par Juniper. Si ces actions ne sont pas possibles, veuillez utiliser la solution de contournement fournie par Juniper.

https://supportportal.juniper.net/s/article/2023-08-Out-of-Cycle-Security-Bulletin-Junos-OS-SRX-Series-and-EX-Series-Multiple-vulnerabilities-in-J-Web-can-be-combined-to-allow-a-preAuth-Remote-Code-Execution?language=en_US